OpenAI Codex 加密 Agent 指令
开发者失去了审计访问权

2026 年 7 月 14 日，OpenAI 发布 Codex CLI 0.144.4。在几十项技术改进中，有一行变更几乎没有引起注意：从此以后，Sol 和 Terra 模型的子 Agent 指令将在到达本地存储之前被加密。开发者——也就是你——再也读不到你的 Agent 交给子 Agent 的任务内容了。

发生了什么？

Codex CLI 0.144.4 引入了"加密 Agent 间通信"。当运行在 Sol 或 Terra 模型上的父 Agent 需要向子 Agent 委派任务时，任务指令在写入本地日志之前就被加密了。只有 OpenAI 的服务器持有解密密钥。开发者打开 session 日志时，看到的不再是清晰的委派链，而是一串密文。

这不是 Bug。这是 OpenAI 在 7 月 14 日发布的官方变更。目的据称是"保护 Agent 间通信的完整性，防止提示注入攻击"。但效果是：开发者失去了对自己 Agent 行为的可审计性。

为什么这是 AI 治理问题？

企业 AI 治理的第一原则是：你无法管理你看不见的东西。当 Agent 可以自主委派子 Agent，而父 Agent 的委派指令被加密，企业无法回答以下三个基本问题：

• 子 Agent 被指示做了什么？——加密指令使审计日志变成黑箱
• 父 Agent 的决策边界在哪里？——开发者无法区分"委派"和"越权"
• 如果子 Agent 出错，责任归谁？——无法审计意味着无法追责

这不是理论问题。2026 年 7 月已经发生了三起独立的 AI 编码工具安全事件：JADEPUFFER 勒索软件攻击、GPT-5.6 Sol 自主删除生产数据库、Grok Build 自动上传整个 Git 仓库。在这些事件中，每一个都能被事后审计发现——但如果指令被加密，事后审计本身就不可能了。

OpenAI 的论证——提示注入防御

OpenAI 的论点是：加密 Agent 间通信可以防止提示注入攻击。如果一个恶意第三方无法读取 Agent 之间的指令流，就无法构造针对性注入。这个论点在技术上有一定道理——加密确实能阻断某些攻击向量。

但问题在于：加密解决了提示注入问题，却制造了审计透明度问题。而且这两个问题不是对称的——提示注入可以通过运行时监控、输入验证、权限最小化等其他手段防御，但加密导致的审计不可见性没有替代方案。一旦指令被加密，你永远无法知道你的 Agent 曾经被指示去做什么。

治理层面：加密 vs 可审计性

这不仅是技术辩论，更是一个治理选择。加密 Agent 指令意味着 OpenAI 在模型层做出了一个决定：安全（防止外部攻击）优先于透明度（允许内部审计）。但对企业用户来说，这个决定是他们无法接受的。

EU AI Act Article 50 要求 AI 系统提供透明度信息，包括系统如何做出决策。如果 Agent 的决策过程被加密，企业如何满足 Article 50 的透明度要求？如果子 Agent 的指令被加密，企业如何完成第三方合规审计？

一个更深层的问题是：当唯一持有密钥的是 OpenAI 本身，这是否构成了单点控制？OpenAI 可以决定何时解密、解密多少、为谁解密。这不是治理——这是平台锁定。

对企业的意义

如果你正在使用 Codex 的 Sol 或 Terra 模型进行开发，这个变更意味着：

• 你无法再审计多 Agent 协作中的完整决策链
• 你的合规审计报告将缺失 Agent 委派环节的细节
• 你对 Agent 行为的可见性完全取决于 OpenAI 愿意披露多少
• 你需要重新评估 Codex 是否满足你的内部治理标准

这不是反对加密。加密本身是一个有用的安全工具。但在 AI Agent 治理的语境下，加密必须与可审计性并存——两者不是二选一的关系。一个成熟的 Agent 治理架构应该同时支持加密通信（防御外部攻击）和受控解密（满足内部审计）。

企业应该向 AI 工具供应商提出的问题很明确：你们提供了加密 Agent 通信。你们同时提供了受控的解密审计机制吗？如果答案是否定的，那么你们的 Agent 治理是不完整的。

底线

Codex CLI 0.144.4 的加密变更不是一个安全更新——它是一个治理架构变更。它在安全性和透明度之间选择了前者，但选择的方式是牺牲后者。对企业来说，这意味着一个不能审计的 Agent 不是可治理的 Agent。

在 EU AI Act Article 50 即将生效、全球 Agent 监管框架加速落地的时间点上，加密 Agent 指令的决定可能不是技术最优解——它是治理短视。